記帳代行・経理BPOのセキュリティ対策｜委託元の確認項目とAI利用・再委託

記帳代行のセキュリティを確認するとき、証憑を渡してよい相手か、AIや在宅作業をどう管理するかを具体的に確かめる必要があります。この記事は、委託元（会計事務所・企業）と受託側（記帳代行会社・経理BPO・事務所の入力部門）の両方に向けて、確認項目と回答の書き方を整理します。

記帳代行・経理BPOのセキュリティは誰の責任か｜委託の連鎖と法的義務

まず、データが誰から誰へ渡るかを確認します。例えば、顧問先の証憑を会計事務所が預かり、入力をBPO会社に出し、その会社が在宅ワーカーやAIサービスを使う場合は次のような連鎖になります。

委託先の監督は「選定・契約・把握」の3つ

個人情報保護法25条は、個人データの取扱いを委託する事業者に必要かつ適切な監督を義務付けています。個人情報保護委員会の通則ガイドライン（以下、通則GL）は、選定・契約・把握の措置をリスクに応じて講じなければならないとしています。

書面の受領で終わらせず、規程と実際の取扱いが合っているかを確認します。

再委託とクラウドの扱いを確かめる

会計事務所が顧問先の入力作業をBPO会社に出すと、顧問先から見れば再委託です。個人データを扱う再委託先について事前報告や承認を行うことは通則GLでは望ましいとされ、具体的な手続は契約で定めます。マイナンバーを扱う事務は後述の許諾要件が別にあります。

AI・クラウドの利用が委託に当たるかは、提供事業者が個人データを取り扱うこととなっているかで判断します。管理者権限の有無だけで決めず、契約条項とアクセス制御、実際の取扱いを確認します。税理士の守秘義務と外部への入力の整理は守秘義務と生成AIの判断表をご覧ください。

受託側に適用される安全管理措置

通則GLの従業員100人以下の事業者向けの特例的な手法からは、委託を受けて個人データを取り扱う者が除かれます。番号法ガイドライン別添1も、委託に基づき個人番号関係事務等を業として行う事業者を除いています。小規模な記帳代行事務所でも、受託業務に必要な体制を個別に確認します。

委託元の確認項目と受託側の回答例

選定時と運用中に使う確認表です。回答例はすべて一般的な例で、実際の設定や契約に置き換えてください。法令上の義務と、その実施方法としての推奨・追加対策を分け、未対応の項目は対応予定と責任者を書きます。

通則GLは、現地確認や口頭を含む合理的な確認方法を挙げています。データの量・種類に応じて方法を決めます。規程作成にはIPAのセキュリティ対策ガイドライン第4.0版の付録も参考になります。

第三者認証・評価制度の位置づけ

プライバシーマークとISMS認証は任意の認証です。登録証などで委託する組織・業務が適用範囲に含まれるかを確認します。SCS評価制度は段階ごとに評価方法が異なるため、一律に第三者認証として扱わず、開始状況と評価方式をIPAの最新情報で確かめます。認証や評価だけで個別の確認を省くことはできません。

委託元が管理する受け渡しとアカウント

送付先、配送の追跡・受領、共有リンクの宛先と期限、添付メールの可否を決めます。送る前に宛先・内容を確認し、誤送付・誤送信時の連絡窓口を一本化します。

会計ソフトや共有ストレージは、委託先専用の利用者IDと必要最小限の権限を用意します。委託元の管理者IDを共用せず、記帳だけを任せる場合は振込権限を渡さない設計にします。付与・変更・停止を管理台帳に記録し、契約終了時に停止できるようにします。

AIツールの提供事業者に送る質問票は会計事務所のAIツール選定セキュリティチェックシート、AI導入の進め方の比較は内製・外注・パッケージの選び方にまとめています。

記帳代行の委託契約・覚書に入れる条項と漏えい時の連絡

番号法ガイドライン（事業者編）は、マイナンバーを含む事務の委託契約に盛り込む事項を示しています。マイナンバーを扱わない記帳業務でも、条項設計の参考になります。

通常の記帳では契約設計の参考にします。個人データは委託された範囲で扱い、自社用の統計への加工も範囲外なら行えません（Q&A7-38）。AIの学習・サービス改善への利用を条項で明確にします。

漏えい時の報告と委託先からの第一報

委員会への報告と本人への通知が必要なのは、要配慮個人情報、財産的被害のおそれ、不正の目的によるおそれ、本人の数が1,000人超の4類型です。委託時は原則として委託元・委託先の双方が報告義務を負い、委託先が委託元に通知すれば委託先は免除されます（法26条1項ただし書）。速報は概ね3〜5日以内、確報は30日以内（不正の目的は60日以内）が目安です。ランサムウェアによる暗号化や書類の盗難は不正の目的の例で、1,000人以下でも対象になり得ます。契約では、例えば「委託先は漏えい等を知ったときは○時間以内に委託元へ第一報を入れる」と期限を決めておきます。

経理BPO・記帳代行の生成AI利用と再委託｜委託範囲・学習利用・海外サーバ

ツールの設定面の確認は生成AIのセキュリティで確認する7項目で解説しています。ここでは、受託側が委託元に何を説明し、何を約束するかに絞ります。

学習に使われないことを確認する

個人情報を入力する目的と、本人の同意なく個人データを入力する場合の学習利用等を確認します（PPC注意喚起、2023年6月2日）。AI事業者が再委託先に当たるかは契約・取扱いの実態を確認し、規約と設定を委託元へ示します。

顧客ごとの情報を混ぜない

複数の委託元のデータを区別せずに混ぜる取扱いは、個人情報保護委員会のQ&Aでは委託に当たらない例とされています。委託先への提供の例外が使えず、本人の同意のない第三者提供と扱われ得るため、A社の仕訳例をB社の作業に流用しない運用を決めます。

海外の事業者・作業拠点を確認する

外国にある第三者への提供は、委託であっても個人情報保護法28条の確認が必要です。外国の事業者が取り扱う場合は国内サーバでも該当し得るため、事業者の所在国、アクセスする拠点、必要な制度の把握と提供の根拠を確認します。

令和8年改正は現行法と分けて管理する

2026年7月17日公布の改正法は受託者による委託業務の範囲を超えた取扱いの制限などを新設しますが、2026年10月10日時点では未施行です。詳しい法的整理と施行状況は個人情報保護法の令和8年改正で確認してください。

再委託とマイナンバー｜番号法10条の許諾

番号法10条は、個人番号関係事務の委託を受けた者は、委託をした者の許諾を得た場合に限り再委託できるとしています。番号法ガイドラインは、甲→乙→丙→丁と再々委託される場合も、許諾を得る相手は最初の委託者である甲だと説明しています。

例えば、顧問先から年末調整や法定調書の作成を受けた会計事務所が入力をBPO会社に出す場合は顧問先の許諾が必要で、BPO会社が在宅ワーカーに出す場合も許諾の相手は顧問先です。通常の記帳入力でマイナンバーを使わないなら、そもそも渡さない設計が確実です。

許諾の取り方と管理の手法

原則として再委託時に許諾を求めます。契約時に相手が具体的に特定され、措置を講ずる能力が確認されている等の場合は、事前に得ることも可能です（番号法Q&A3-9）。許諾の対象・日付・相手と変更時の手続を記録します。

証憑に写り込んだマイナンバー

番号法20条は、法律で認められた場合を除き、特定個人情報の収集・保管を禁じています。記帳用の書類にマイナンバーが写っていれば、保管しない、事前のマスキングを依頼するといった運用を委託元と取り決めておくことが考えられます。

記帳代行の在宅オペレーター・作業場所・端末の管理

BPO会社に雇用される在宅勤務者は「従業者」で、個人情報保護法24条の監督の対象です（派遣社員なども含む）。一方、個人事業主の在宅ワーカーに業務委託する場合は再委託先になり得るため、上位の委託元への報告や、マイナンバーを含む場合の許諾が問題になります。委託元は在宅作業の有無だけでなく、在宅者が従業者か業務委託かまで確認します。

表は、総務省「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」第3版（令和4年5月）の項目から選んだものです。通則GLは、内部規程に違反した機器や記録媒体の持ち出しを放置して漏えいした例を挙げており、紙の証憑も持ち帰り・返却・廃棄の方法を決めて確認します。

会計事務所の職員が在宅で作業する場合

税理士法基本通達41の2-1は場所にかかわらず適切な監督を求め、ICTによる補助履歴の確認などを例示します。日税連の内部管理指針にもテレワーク関連様式の公開一覧があります（令和6年4月一部改訂、本文は会員向けで未確認）。

顧客ごとのデータ区分・権限・処理記録

顧客ごとにフォルダ・作業環境・権限を分けることは、委託の範囲を守る前提です（Q&A7-37）。通則GLの安全管理措置にも、取扱状況を確認する手段（10-3）とアクセス制御・識別と認証（10-6）が含まれます。設計の例は次のとおりです。

• 担当外の顧客のデータを開けないよう、置き場所と権限を分ける
• 誰が、いつ、どの顧客のデータに何をしたかを記録する
• AIに渡す情報を作業に必要な範囲に絞る
• AIの仕訳候補は担当者が確認・修正・却下・承認し、承認と会計ソフトへの反映を別に記録する

Zeimeeの公開方針でも、事務所・顧問先のデータ境界、入力情報の最小化、承認と反映の記録を示しています。回答書には各方針をどう実施するかを書きます。

記帳代行の契約終了時の返却・削除と確認方法

個人情報保護法22条は、不要になった個人データの遅滞なき消去を努力義務としています。番号法ガイドライン別添1は、削除・廃棄の作業を委託する場合、委託先が確実に削除・廃棄したことを証明書等で確認するとしています。また、マイナンバーを扱う委託契約には、終了後の返却又は廃棄を盛り込む必要があります。記帳データでも、契約に同じ考え方を取り入れると確認しやすくなります。

• 削除の対象：作業端末、共有ストレージ、メール・チャットの添付、バックアップ、AIサービスの会話履歴、在宅ワーカーの端末、紙の写し
• 削除証明書の項目：対象データ（顧客・期間・種類）、方法、実施日時、実施者と確認者、残すデータがあればその理由と期限

委託元はまず原本・帳簿データの返却を受け取り、保存が必要な資料を自社で開けることまで確認します。その後、委託先用アカウントと共有フォルダの権限を停止し、契約で定めた削除の報告・証明を受けます。保存義務のある資料を、返却確認前に消さないよう順序を決めます。

記帳代行の委託先を確認する手順

記帳代行の業務範囲の注意｜税務相談・申告書作成との線引き

税務代理・税務書類の作成・税務相談は税理士業務であり、税理士等でない受託側が業として行わないよう業務範囲を分けます。入力作業と税務判断の分担は記帳代行の工程別の分担で整理しています。

よくある質問

まとめ

• 委託元：選定・契約・取扱状況の把握は、リスクに応じて講じる必要がある措置。再委託・AI・在宅作業まで確認し、受け渡しとアカウントも管理する。
• 受託側：中小規模事業者の特例は使えない前提で、AI利用・再委託・在宅作業・データ区分・削除を回答書に具体的に書く。
• マイナンバーの再委託は最初の委託者の許諾が要件。記帳業務では渡さない設計が確実。

まずは自社の委託の連鎖を表に書き出し、チェックリストで答えられない項目から埋めてください。